Technische und organisatorische Maßnahmen (TOM)

Version 1.0 · Stand: Oktober 2026

Diese Maßnahmen gelten für Projekte, in denen goodDEV Softwareentwicklung personenbezogene Daten im Auftrag verarbeitet: beim Hosting und Betrieb von Websites und Anwendungen, bei Wartung und Support und in der Entwicklung, soweit wir dabei Zugriff auf Daten haben. Projektbezogene Abweichungen und Ergänzungen regelt der jeweilige Vertrag zur Auftragsverarbeitung. Die eingesetzten Dienstleister stehen unter Unterauftragnehmer.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

• Betrieb in Rechenzentren der OVH GmbH in Deutschland (Limburg an der Lahn) mit Zutrittsbeschränkung, Überwachung und Brandschutz; OVHcloud ist nach ISO/IEC 27001 zertifiziert.
• Datensicherungen getrennt davon bei der Hetzner Online GmbH in Deutschland.
• Arbeitsplätze in abschließbaren Räumen; Arbeit nur auf firmeneigenen Geräten mit verschlüsselter Festplatte, Bildschirmsperre und aktuellem Betriebssystem.

Zugangskontrolle

• Server-Zugang ausschließlich per SSH mit personengebundenen Schlüsseln, kein Passwort-Login, kein direkter Root-Login.
• Zwei-Faktor-Authentifizierung für alle administrativen Zugänge (Versionsverwaltung, Hosting, E-Mail, Content-Management).
• Personengebundene Konten, kein Teilen von Zugangsdaten, Einsatz eines Passwort-Managers. Zugänge werden beim Ausscheiden am selben Tag gesperrt.

Zugriffskontrolle

• Rechte nach dem Prinzip der geringsten Berechtigung; Administrationsrechte nur für benannte Personen.
• Rollen- und Rechtekonzept in den Anwendungen, abgestimmt mit den Kundinnen und Kunden.

Trennungskontrolle

• Eigene Datenbank, eigener Dateispeicher und eigene Container je Projekt und je Umgebung (Produktion, Stage).
• Keine Produktionsdaten in lokalen Entwicklungsumgebungen.
• Keine personenbezogenen Daten aus Kundenprojekten in KI-Werkzeugen; KI-Assistenz nur mit Code, Konfiguration und Inhalten ohne Personenbezug.
• Datenbanken, Suche und interne Dienste sind nur im privaten Netz erreichbar; öffentlich erreichbar sind nur die Webzugänge.

2. Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Übertragung ausschließlich verschlüsselt (TLS 1.2 oder höher, HSTS); Administration per SSH.
• Datensicherungen werden vor dem Speichern verschlüsselt (AES-256).
• Passwörter werden nur als gesalzene Hashes gespeichert.
• Zugangsdaten und Schlüssel liegen ausschließlich im Variablenspeicher der Build-Umgebung oder im Passwort-Manager, nie im Quellcode.

3. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Quellcode und Konfiguration sind versioniert; Änderungen gehen über eine automatisierte Build- und Prüfstrecke, keine manuellen Änderungen in Produktion.
• Schutz vor Angriffen wie Injection, Cross-Site-Scripting und Cross-Site-Request-Forgery nach Stand der Technik; Prüfung aller Formulareingaben.
• E-Mail-Versand über authentifizierte Versanddienste mit SPF, DKIM und DMARC.
• Protokolle mit vollständiger IP-Adresse werden höchstens 7 Tage aufbewahrt. Auf den Proxys werden die IP-Adressen danach gekürzt (IPv4 /24, IPv6 /48) und die Protokolle nach höchstens 90 Tagen gelöscht, alle übrigen Protokolle nach 7 Tagen. Zugriff hat nur die Administration.
• Webanalyse ausschließlich mit selbst betriebenem Matomo, ohne Cookies und mit gekürzter IP-Adresse.
• Zeitsynchronisation auf allen Servern für belastbare Protokolle.

4. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Redundante Produktionsumgebung: mehrere Anwendungsserver, Datenbank-Cluster mit Replikation, vorgelagerte Proxys mit Ausfallumschaltung.
• Tägliche automatisierte Datensicherung, verschlüsselt und getrennt vom Produktionsbetrieb; Aufbewahrung von Tages-, Wochen- und Monatsständen. Jede Sicherung wird automatisch auf Vollständigkeit geprüft.
• Überwachung von Erreichbarkeit, Antwortzeiten, Speicherplatz, Datenbank-Cluster und Datensicherungen mit automatischer Alarmierung.
• Schutz vor Überlast und Angriffen: Anti-DDoS des Rechenzentrums, Ratenbegrenzung, Spamschutz in Formularen.
• Sicherheitsupdates für Betriebssysteme automatisch, für Anwendungen zeitnah nach Erscheinen.

5. Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

• Dokumentierte Verfahren zur Wiederherstellung von Datenbank, Dateien und Anwendung.
• Jede Version einer Anwendung lässt sich innerhalb weniger Minuten auf den vorherigen Stand zurücksetzen; vor Updates mit Änderungen an der Datenbank wird gesichert.
• Einzelne Komponenten starten neu, ohne dass das Gesamtsystem ausfällt.

6. Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d, Art. 25 DSGVO)

• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen: Datensparsamkeit in Formularen und Protokollen, Double-Opt-in, Tracking ohne Cookies.
• Automatisierte Prüfungen in der Build-Strecke, Überwachung von Zertifikatslaufzeiten und Datensicherungen.
• Alle eingesetzten Personen sind schriftlich auf Vertraulichkeit und Datenschutz verpflichtet; die Pflicht besteht nach dem Ende der Zusammenarbeit fort.
• Verletzungen des Schutzes personenbezogener Daten melden wir unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.
• Unterauftragnehmer setzen wir nur mit einem Vertrag nach Art. 28 DSGVO ein, mit Verarbeitung in der EU oder mit geeigneten Garantien nach Kapitel V DSGVO.
• Wir überprüfen diese Maßnahmen mindestens einmal im Jahr und bei wesentlichen Änderungen.

Änderungshistorie

• 1.0, Oktober 2026: Erstfassung